L’acteur du cyberespionnage li\u00e9 \u00e0 la Chine, li\u00e9 \u00e0 l’exploitation zero-day des failles de s\u00e9curit\u00e9 des appareils Fortinet, Ivanti et VMware, a \u00e9t\u00e9 observ\u00e9 en train d’utiliser plusieurs m\u00e9canismes de persistance afin de maintenir un acc\u00e8s sans entrave aux environnements compromis.<\/p>\n
“Les m\u00e9canismes de persistance englobaient les p\u00e9riph\u00e9riques r\u00e9seau, les hyperviseurs et les machines virtuelles, garantissant que les canaux alternatifs restent disponibles m\u00eame si la couche principale est d\u00e9tect\u00e9e et \u00e9limin\u00e9e”, chercheurs Mandiant. dit<\/a> dans un nouveau rapport.<\/p>\n L’acteur mena\u00e7ant en question est UNC3886<\/strong>que la soci\u00e9t\u00e9 de renseignement sur les menaces appartenant \u00e0 Google a qualifi\u00e9 de \u00ab sophistiqu\u00e9, prudent et \u00e9vasif \u00bb.<\/p>\n Les attaques orchestr\u00e9es par l’adversaire ont exploit\u00e9 des failles zero-day telles que CVE-2022-41328<\/a> (Fortinet FortiOS), CVE-2022-22948<\/a> (VMware vCenter), et CVE-2023-20867<\/a> (VMware Tools) pour effectuer diverses actions malveillantes, allant du d\u00e9ploiement de portes d\u00e9rob\u00e9es \u00e0 l’obtention d’informations d’identification pour un acc\u00e8s plus approfondi.<\/p>\n Il a \u00e9galement \u00e9t\u00e9 observ\u00e9 qu’il exploitait CVE-2022-42475, une autre lacune affectant Fortinet FortiGate, peu de temps apr\u00e8s sa divulgation publique par la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 r\u00e9seau.<\/p>\n Ces intrusions ont principalement cibl\u00e9 des entit\u00e9s en Am\u00e9rique du Nord, en Asie du Sud-Est et en Oc\u00e9anie, avec des victimes suppl\u00e9mentaires identifi\u00e9es en Europe, en Afrique et dans d’autres r\u00e9gions d’Asie. Les industries cibl\u00e9es couvrent les secteurs des gouvernements, des t\u00e9l\u00e9communications, de la technologie, de l\u2019a\u00e9rospatiale et de la d\u00e9fense, ainsi que de l\u2019\u00e9nergie et des services publics.<\/p>\n Une tactique notable de l’arsenal de l’UNC3886 consiste \u00e0 d\u00e9velopper des techniques qui \u00e9chappent aux logiciels de s\u00e9curit\u00e9 et leur permettent de s’infiltrer dans les r\u00e9seaux gouvernementaux et commerciaux et d’espionner les victimes pendant de longues p\u00e9riodes sans \u00eatre d\u00e9tect\u00e9es.<\/p>\n Cela implique l’utilisation de rootkits accessibles au public comme Reptile et M\u00e9duse<\/a> sur des machines virtuelles (VM) invit\u00e9es, ces derni\u00e8res \u00e9tant d\u00e9ploy\u00e9es \u00e0 l’aide d’un composant d’installation baptis\u00e9 SEAELF.<\/p>\n “Contrairement \u00e0 REPTILE, qui fournit uniquement un acc\u00e8s interactif avec des fonctionnalit\u00e9s de rootkit, MEDUSA pr\u00e9sente des capacit\u00e9s d’enregistrement des informations d’identification des utilisateurs \u00e0 partir des authentifications r\u00e9ussies, localement ou \u00e0 distance, et des ex\u00e9cutions de commandes”, a not\u00e9 Mandiant. “Ces capacit\u00e9s sont avantageuses pour l’UNC3886 en tant que mode op\u00e9ratoire pour se d\u00e9placer lat\u00e9ralement en utilisant des informations d’identification valides.”<\/p>\n Les syst\u00e8mes sont \u00e9galement livr\u00e9s avec deux portes d\u00e9rob\u00e9es nomm\u00e9es MOPSLED et RIFLESPINE qui tirent parti de services de confiance tels que GitHub et Google Drive en tant que canaux de commande et de contr\u00f4le (C2).<\/p>\n MOPSLED, une \u00e9volution probable du malware Crosswalk, est un implant modulaire bas\u00e9 sur un shellcode qui communique via HTTP pour r\u00e9cup\u00e9rer des plugins \u00e0 partir d’un serveur GitHub C2, tandis que RIFLESPINE est un outil multiplateforme qui utilise Google Drive pour transf\u00e9rer des fichiers et ex\u00e9cuter des commandes. .<\/p>\n Mandiant a d\u00e9clar\u00e9 avoir \u00e9galement rep\u00e9r\u00e9 UNC3886 d\u00e9ployant des clients SSH de porte d\u00e9rob\u00e9e pour r\u00e9colter des informations d’identification apr\u00e8s l’exploitation de 2023-20867, ainsi que tirer parti de Medusa pour configurer des serveurs SSH personnalis\u00e9s dans le m\u00eame but.<\/p>\n “La premi\u00e8re tentative de l’acteur malveillant d’\u00e9tendre son acc\u00e8s aux appareils r\u00e9seau en ciblant les Serveur TACACS<\/a> “LOOKOVER est un renifleur \u00e9crit en C qui traite les paquets d’authentification TACACS+, effectue le d\u00e9cryptage et \u00e9crit son contenu dans un chemin de fichier sp\u00e9cifi\u00e9.”<\/p>\n Certaines des autres familles de logiciels malveillants diffus\u00e9es au cours d’attaques visant les instances VMware sont ci-dessous\u00a0:<\/p>\n Au fil des ann\u00e9es, les machines virtuelles sont devenues des cibles lucratives pour les acteurs malveillants en raison de leur utilisation g\u00e9n\u00e9ralis\u00e9e dans les environnements cloud.<\/p>\n “Une VM compromise peut fournir aux attaquants un acc\u00e8s non seulement aux donn\u00e9es de l’instance de VM, mais \u00e9galement aux autorisations qui lui sont attribu\u00e9es”, Palo Alto Networks Unit 42. dit<\/a>. \u00ab\u00a0\u00c9tant donn\u00e9 que les charges de travail de calcul telles que les machines virtuelles sont g\u00e9n\u00e9ralement \u00e9ph\u00e9m\u00e8res et immuables, le risque pos\u00e9 par une identit\u00e9 compromise est sans doute plus grand que celui des donn\u00e9es compromises au sein d’une machine virtuelle.\u00a0\u00bb<\/p>\n Il est conseill\u00e9 aux organisations de suivre les recommandations de s\u00e9curit\u00e9 dans le Fortinet<\/a> et VMware<\/a> des conseils pour vous prot\u00e9ger contre les menaces potentielles.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/06\/UNC3886-utilise-Fortinet-VMware-0-Days-et-Stealth-Tactics-pour-lespionnage.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n\n